perl - 我应该使用哪种 OAuth2 授权类型？

Question

我正在维护 SReview，这是一个基于 mojolicious 的 web 应用程序，它需要运行许多需要更改数据库状态的后台任务。这些作业需要大量的 CPU 时间，而且数量很多，因此根据安装的大小，让多台机器运行这些后台作业可能是明智的。尽管如此，可以访问数据库的机器数量还是相当有限的，所以目前我让它们直接访问数据库，使用直接的 PostgreSQL 连接。

这是可行的，但有时后台作业可能需要在恶意网络的另一端运行，因此可能不太需要额外开放的网络端口来访问数据库。因此，我正在考虑实现某种基于 Web 的 RPC 协议(protocol)(可能使用 JSON)，并使用 OAuth2 保护访问。但是，我以前从未详细使用过该协议(protocol)，并且可以使用一些指导来确定使用哪个授权流。

可以通过两种方式将所需的凭据提供给运行这些后台作业的机器:

作业调度程序能够为后台作业指定环境变量或命令行选项。然后，这些将被传递到实际运行作业的机器上，这些机器可以假定是安全的。但是，这意味着在某些情况下，作业调度程序本身也需要使用 OAuth2 进行身份验证，最好是可以随意重新启动它而无需一次又一次地进行身份验证。

由于运行作业的机器数量可能相当有限，因此应该可以为每台机器创建机器凭据。但是，在这种情况下，能够在销售机器上并行运行多个 session 非常重要。

哪种拨款流最能支持这些模型中的任何一个？

Answer 1

从您的场景概述中可以清楚地看出，系统之间会发生交互。没有最终用户(人类)用户交互。
首先，鉴于您的应用程序是在安全环境(封闭)中执行的，它们可以被视为 secret 客户端。 OAuth 2.0 client types对此进行更多解释。在此背景下，您可以为每个分布式应用程序组件颁发客户端 ID 和客户端密码。
关于赠款类型，首先我欢迎您熟悉所有可用的选项。这可以通过 Obtaining Authorization 来完成。部分。简而言之，它解释了应用程序获取 token (特别是访问 token )的不同方式，这些 token 可用于调用受 OAuth 2.0 保护的端点(在您的情况下为 RPC 端点)。
对您来说，最好的赠款类型是 client credential grant .它专为与 OAuth 2.0 保护端点预先建立信任的客户而设计。此外，与其他授权类型相比，它不需要浏览器(用户代理)或最终用户。
最后，您将需要使用 OAuth 2.0 授权服务器。这将注册不同的分布式客户端并向它们发出客户端 ID、 secret 。当客户端需要获取 token 时，他们将使用 token 端点。并且您的 RPC 端点的每个客户端调用都将包含一个有效的访问 token ，您可以使用 token 自省(introspection)(或任何特定的所需方法)对其进行验证。